Vertragsgegenstand

1. Gegenstand des Vertrags ist die entgeltliche und zeitlich auf die Dauer des Vertrags begrenzte Gewährung der Nutzung der Software durch den Kunden.
2. Justaddsugar kann bei der eigenen Leistungserbringung Subunternehmer einbeziehen. Der Einsatz von Subunternehmern entbindet Justaddsugar nicht von seiner alleinigen Verpflichtung gegenüber dem Kunden zur vollständigen Vertragserfüllung.

Leistungen von Justaddsugar

1. Die Software dient als Creative-Performance-Intelligence-Tool und spielt u.a. Werbe-Performance-Daten aus angebundenen Werbeplattformen ein, bewertet Creatives oder führt eine KI-gestützte Analyse ausgewählter Assets durch. Der Funktionsumfang der Software ergibt sich aus dem jeweiligen Angebot (z. B. auf der Justaddsugar-Webseite).
2. Justaddsugar gewährt dem Kunden die Nutzung der jeweils aktuellen Version der Software für die vereinbarte Anzahl an berechtigten Nutzern und Anfragen über das Internet mittels Zugriffs durch einen Browser. Die Software ist für Browser mit der Chromium-Engine (Edge, Chrome) konzipiert und aus Sicherheitsgründen auf die jeweils aktuelle Version optimiert. Die Nutzung mit anderen Browsern oder veralteten Versionen eines Browsers kann zu einem abweichenden Nutzungserlebnis führen.
3. Justaddsugar gewährleistet gemäß Ziff. 4 eine Funktionsfähigkeit und Verfügbarkeit der Software außerhalb angekündigter Wartungsfenster (vgl. Ziff. 2.6) in Höhe von 99 % im Monat und wird diese in einem zum vertragsgemäßen Gebrauch geeigneten Zustand erhalten.
4. Justaddsugar wird dem Kunden nach Vertragsschluss unverzüglich in elektronischer Form Zugangsdaten für die Nutzung der Software übermitteln. Justaddsugar wird die vertraglich vereinbarte Anzahl an Nutzern („Seats“) nach Mitteilung der einzelnen Nutzer durch den Kunden freischalten. Änderungen am Nutzerkreis sind Justaddsugar in Textform mitzuteilen.
5. Justaddsugar kann, ohne hierzu verpflichtet zu sein, die Software jederzeit aktualisieren oder weiterentwickeln und insbesondere aufgrund geänderter Rechtslage, technischer Entwicklungen oder zur Verbesserung der IT-Sicherheit anpassen. Justaddsugar wird dabei die berechtigten Interessen des Kunden angemessen berücksichtigen und den Kunden rechtzeitig über wesentliche Updates und Upgrades informieren. Im Falle einer wesentlichen Beeinträchtigung der berechtigten Interessen des Kunden steht diesem ein Sonderkündigungsrecht zu. Eine Anpassung auf die individuellen Bedürfnisse oder die IT-Umgebung des Kunden schuldet Justaddsugar grundsätzlich nicht.
6. Justaddsugar wird die Software regelmäßig warten. Eine die Nutzbarkeit einschränkende Wartung wird grundsätzlich außerhalb der üblichen Geschäftszeiten (Mo.–Fr. 09:00–18:00 Uhr, ausgenommen gesetzliche Feiertage am Sitz von Justaddsugar) durchgeführt, es sei denn, dass eine Wartung aufgrund zwingender Gründe während einer anderen Zeit vorgenommen werden muss. Die Kunden werden über etwaige Einschränkungen rechtzeitig informiert.
7. Soweit im Funktionsumfang vom Kunden gebucht, stellt Justaddsugar dem Kunden zur Ablage von Daten und für Zwecke der Nutzung der Software Speicherplatz auf seinen Servern in einem dem Vertragszweck üblichen Umfang zur Verfügung.
8. Justaddsugar wird während der Vertragslaufzeit dem Stand der Technik entsprechende Maßnahmen zum Schutz der Daten vornehmen.
9. Das in der Plattform enthaltene Analysesystem wird mittels künstlicher Intelligenz betrieben, welche trotz aller von Justaddsugar ergriffenen Sorgfaltsmaßnahmen fehlerbehaftet sein kann. Die KI-gestützten Analysen und Bewertungen sind ausschließlich als unterstützende Entscheidungshilfe zu verstehen und stellen unverbindliche Vorschläge dar. Sie ersetzen keine eigenverantwortliche unternehmerische Prüfung und Entscheidung durch den Kunden. Justaddsugar empfiehlt, Reports sowie auch andere im System erzeugte Ausgaben einer manuellen Prüfung zu unterziehen.
10. Die Plattform ist auf Programmierschnittstellen und Dienste Dritter angewiesen, darunter die Werbeplattformen (Meta, Google/YouTube, TikTok) und Anbieter künstlicher Intelligenz. Verfügbarkeit, Umfang, Richtigkeit und Fortbestand dieser Drittdienste liegen außerhalb des Einflussbereichs von Justaddsugar. Justaddsugar ist nicht verantwortlich für Unterbrechungen, Änderungen, Einstellungen, Sperrungen oder Unrichtigkeiten solcher Drittdienste oder für von diesen gelieferte Daten.
11. Um eine gleichbleibend hohe Servicequalität für alle Kunden sicherzustellen, gelten Fair-Use-Grenzen. Diese beziehen sich auf eine überdurchschnittliche Anzahl von Anfragen pro Nutzer/Account/Zeitraum, die Inanspruchnahme von Rechen- oder Speicherressourcen, Dateigröße und Upload-Volumina, API-Nutzung, die Zahl gleichzeitiger Sessions sowie automatisierter Prozesse. Bei ungewöhnlich hoher, missbräuchlicher oder systembelastender Nutzung, die in einem groben Missverhältnis von Kosten und Vergütung steht, ist Justaddsugar berechtigt, geeignete Maßnahmen zu ergreifen. Ein solches Missverhältnis wird vermutet, wenn die durch die Nutzung des Kunden verursachten Kosten von Justaddsugar die vom Kunden zu zahlende Vergütung um 30 % oder mehr übersteigen. Vor Ergreifung von Maßnahmen informiert Justaddsugar den Kunden per E-Mail. Mögliche Maßnahmen sind: temporäre Drosselung, Einschränkung einzelner Funktionen oder vorübergehende Sperrung des Zugangs. Eine dauerhafte Sperrung erfolgt nur bei schwerwiegenden oder wiederholten Verstößen nach vorheriger schriftlicher Abmahnung.
12. Justaddsugar ist berechtigt, Funktionen bereitzustellen, die als Beta-, Vorschau- oder experimentelle Funktionen gekennzeichnet sind. Solche Funktionen werden „wie besehen“ bereitgestellt, können jederzeit geändert oder eingestellt werden und sind von jeglicher Gewährleistung und von etwaigen Verfügbarkeitszusagen ausgenommen. Der Kunde nutzt solche Funktionen nach eigenem Ermessen.

Nutzungsumfang und -rechte

1. Der Kunde erhält an der jeweils aktuellen Version der Software für die vertraglich festgelegte Anzahl an Nutzern einfache, d. h. nicht unterlizenzierbare und nicht übertragbare, zeitlich auf die Dauer des Vertrags beschränkte Rechte, die Software mittels Zugriff über einen Browser nach Maßgabe der vertraglichen Regelungen zu nutzen.
2. Der Kunde darf die Software nur im Rahmen seiner eigenen geschäftlichen Tätigkeit durch seine Erfüllungsgehilfen oder mit dem Kunden assoziierte Dritte nutzen. Eine weitergehende Nutzung der Software durch den Kunden ist nicht gestattet.
3. Die Software kann auch der Verarbeitung personenbezogener Daten dienen. Insoweit findet der Auftragsverarbeitungsvertrag in Anlage 1 Anwendung, welcher Bestandteil dieses Vertrags ist.
4. Im Verhältnis der Parteien verbleiben sämtliche Rechte an den Kundendaten beim Kunden. Der Kunde räumt Justaddsugar das nicht ausschließliche Recht ein, Kundendaten zu hosten, zu verarbeiten, zu vervielfältigen und anzuzeigen, soweit dies zur Bereitstellung, Absicherung, Wartung und Verbesserung des Dienstes erforderlich ist, einschließlich der Erstellung aggregierter und anonymisierter Analysen, Benchmarks und Erkenntnisse, die weder den Kunden noch eine Einzelperson identifizieren.

Service-Level-Agreement (SLA)

1. Die von Justaddsugar gemäß Ziff. 2.2 gewährte Gesamtverfügbarkeit der Leistungen bezieht sich auf den Übergabepunkt. Der Übergabepunkt ist der Routerausgang des von Justaddsugar genutzten Rechenzentrums.
2. Als Verfügbarkeit gilt die Möglichkeit des Kunden, die angebotenen Hauptfunktionen der Software zu nutzen. Angekündigte Wartungszeiten sowie Zeiten der Störung unter Einhaltung der Behebungszeit gelten als Zeiten der Verfügbarkeit der Software. Zeiten unerheblicher Störungen bleiben bei der Berechnung der Verfügbarkeit außer Betracht. Für den Nachweis der Verfügbarkeit sind die Messinstrumente im Rechenzentrum von Justaddsugar maßgeblich.
3. Der Kunde hat Störungen unverzüglich an Justaddsugar zu melden.
4. Die Beseitigung von unerheblichen Störungen liegt im Ermessen von Justaddsugar.
5. Support wird während der üblichen Geschäftszeiten (Mo.–Fr. 09:00–18:00 Uhr, ausgenommen gesetzliche Feiertage am Sitz von Justaddsugar) über ein Ticketsystem unter sugarlens@justaddsugar.de gewährleistet. Ist die Plattform nicht erreichbar, beträgt die Reaktionszeit 2 h ab Eingang der Fehlermeldung innerhalb der üblichen Geschäftszeiten. Stehen wesentliche Funktionen der Plattform nicht oder nur sehr eingeschränkt zur Verfügung, beträgt die Reaktionszeit 1 Tag ab Eingang der Fehlermeldung innerhalb der üblichen Geschäftszeiten.
6. Für kostenfreie Leistungen („Free Trial“) gewährleistet Justaddsugar keinen Service gemäß dieser Ziff. 4.

Vergütungs- und Zahlungsbedingungen

1. Der Kunde hat die sich aus dem jeweiligen Angebot ergebende Vergütung an Justaddsugar zu zahlen. Die Zahlung ist grundsätzlich im Voraus fällig.
2. Sämtliche Zahlungen sind spätestens binnen zwei Wochen nach Rechnungserhalt auszugleichen. Bei Zahlungsverzug oder im Falle einer vereinbarten Stundung hat der Kunde Verzugszinsen in Höhe von mindestens 8 %-Punkten über dem jeweiligen Basiszinssatz zu zahlen, sofern Justaddsugar nicht ein darüber hinausgehender Zinsschaden entstanden ist. Weitergehende Verzugsansprüche bleiben hiervon unberührt.

Pflichten des Kunden

1. Der Kunde hat die ihm übermittelten Zugangsdaten dem Stand der Technik entsprechend vor Zugriffen Dritter zu schützen und zu verwahren. Der Kunde wird dafür sorgen, dass eine Nutzung nur im vertraglich vereinbarten Umfang geschieht. Ein unberechtigter Zugriff ist Justaddsugar unverzüglich mitzuteilen.
2. Der Kunde ist für die Auswahl seiner berechtigten Nutzer, für deren Zugriffsumfang und dafür verantwortlich, dass diese die Bedingungen dieses Vertrags einhalten.
3. Dem Kunden und den von ihm ausgewählten Nutzern ist es nicht gestattet,
   • Zugriffskontrollen, die Kontobeschränkung oder Mechanismen zur Datentrennung zu umgehen oder zu umgehen zu versuchen oder auf Daten anderer Kunden oder Mandanten zuzugreifen;
   • den Dienst zurückzuentwickeln, zu dekompilieren oder zu disassemblieren oder seinen Quellcode abzuleiten zu versuchen, es sei denn, eine solche Beschränkung ist nach zwingendem Recht unzulässig;
   • Daten über die vorgesehene Funktionalität hinaus automatisiert auszulesen oder zu extrahieren oder die Infrastruktur unangemessen zu belasten;
   • den Dienst weiterzuveräußern, zu vermieten, unterzulizenzieren oder Dritten zugänglich zu machen oder zum Aufbau eines Konkurrenzprodukts zu nutzen;
   • rechtswidrige, rechtsverletzende, beleidigende oder schadhafte (Schadsoftware enthaltende) Inhalte hochzuladen oder zu übermitteln; oder
   • den Dienst unter Verstoß gegen geltendes Recht, behördliche Anordnungen, Rechte Dritter oder Vereinbarungen mit Dritten zu nutzen.
4. Der Kunde hat die für die Dateneinspielung erforderlichen Berechtigungen bei den von ihm genutzten Werbeplattformen (Meta, Google/YouTube, TikTok o. ä.) aufrechtzuerhalten und die jeweils geltenden Bedingungen jener Plattform einzuhalten.

Datenschutz und Geheimhaltung

1. Die Parteien verpflichten sich, über alle vertraulichen Informationen (einschließlich Geschäftsgeheimnissen), die die Parteien im Zusammenhang mit diesem Vertrag und dessen Durchführung erfahren, Stillschweigen zu bewahren und diese nicht gegenüber Dritten offenzulegen, weiterzugeben oder auf sonstige Art zu verwenden. Vertrauliche Informationen sind dabei solche, die als vertraulich gekennzeichnet sind oder deren Vertraulichkeit sich aus den Umständen ergibt, unabhängig davon, ob sie in schriftlicher, elektronischer, verkörperter oder mündlicher Form mitgeteilt worden sind. Die Geheimhaltungsverpflichtung gilt nicht, soweit die jeweilige Partei gesetzlich oder aufgrund bestands- bzw. rechtskräftiger Behörden- oder Gerichtsentscheidung zur Offenlegung der vertraulichen Information verpflichtet ist. Die Parteien verpflichten sich, mit allen Mitarbeitern und Subunternehmern eine dem vorstehenden Absatz inhaltsgleiche Regelung zu vereinbaren. Die Vorschriften aus dem Auftragsverarbeitungsvertrag gem. Anlage 1 bleiben unberührt.

Vertragslaufzeit und -beendigung

1. Die Vertragslaufzeit ergibt sich aus dem Angebot. Nach Ablauf der Vertragslaufzeit verlängert sich der Vertrag automatisch um die ursprüngliche Vertragslaufzeit.
2. Der Vertrag kann von beiden Parteien mit einer Kündigungsfrist von einem Monat zum Ende der vereinbarten Vertragslaufzeit gekündigt werden.
3. Das Recht zur fristlosen Kündigung aus wichtigem Grund bleibt unberührt.
4. Die Kündigung bedarf mindestens der Textform.
5. Bei Vertragsbeendigung richtet sich die Rückgabe oder Löschung der personenbezogenen Daten des Kunden nach den Regelungen im Auftragsverarbeitungsvertrag gem. Anlage 1.

Gewährleistung

1. Es gilt das gesetzliche Mängelgewährleistungsrecht.
2. Der Kunde hat Justaddsugar jegliche Mängel unverzüglich anzuzeigen.
3. Die Gewährleistung für nur unerhebliche Minderungen der Tauglichkeit der Leistung wird ausgeschlossen. Die verschuldensunabhängige Haftung gem. § 536a Abs. 1 BGB für Mängel, die bereits bei Vertragsschluss vorlagen, ist ausgeschlossen.

Haftung

1. Die Parteien haften unbeschränkt bei Vorsatz, grober Fahrlässigkeit sowie bei schuldhafter Verletzung von Leben, Körper oder Gesundheit.
2. Unbeschadet der Fälle unbeschränkter Haftung gemäß Ziff. 10.1 haftet Justaddsugar bei leicht fahrlässiger Pflichtverletzung nur bei Verletzung wesentlicher Vertragspflichten, also Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht oder deren Verletzung die Erreichung des Vertragszwecks gefährdet und auf deren Einhaltung die andere Partei regelmäßig vertrauen darf, allerdings beschränkt auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden, maximal jedoch 100 % der vom Kunden in den letzten 12 Monaten gezahlten Vergütung.
3. Die vorstehenden Haftungsbeschränkungen gelten nicht für die Haftung nach dem Produkthaftungsgesetz sowie im Rahmen schriftlich von einer Partei übernommener Garantien.
4. Ziff. 10.1 bis 10.3 gelten auch zu Gunsten von Mitarbeitern, Vertretern und Organen der Parteien.

Rechtsmängel, Freistellung

1. Der Kunde wird Justaddsugar unverzüglich über Ansprüche von Dritten, die diese aufgrund der vertragsgemäßen Nutzung der Plattform gegen ihn geltend machen, informieren und ihm sämtliche erforderlichen Vollmachten erteilen und Befugnisse einräumen, um sich gegen die Ansprüche zu verteidigen.
2. Der Kunde sichert zu, dass die auf den Servern von Justaddsugar abgelegten Inhalte und Daten sowie deren Nutzung und Bereitstellung durch Justaddsugar nicht gegen geltendes Recht, behördliche Anordnungen, Rechte Dritter oder Vereinbarungen mit Dritten verstoßen. Der Kunde wird Justaddsugar von Ansprüchen, die Dritte aufgrund eines Verstoßes gegen diese Ziff. 11.2 geltend machen, auf erstes Anfordern freistellen.

Schlussbestimmungen

1. Mündliche oder schriftliche Nebenabreden zu diesem Vertrag bestehen nicht. Änderungen dieses Vertrags und seiner Anlagen bedürfen der Schriftform. Dies gilt auch für diese Schriftformklausel.
2. Im Falle eines Widerspruchs gelten vorrangig die Vereinbarungen aus dem AVV (Anlage 1), sodann die Regelungen aus dem jeweiligen Angebot und anschließend die Regelungen aus diesem Vertrag.
3. Es gilt deutsches Recht unter Ausschluss der kollisionsrechtlichen Bestimmungen und des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf vom 11.4.1980 (UN-Kaufrecht).
4. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der Sitz von Justaddsugar.

Definitionen

1. Personenbezogene Daten sind alle vom Auftraggeber zur Verfügung gestellten Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind (Art. 4 Nr. 1 DSGVO).
2. Verarbeitung bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung (Art. 4 Nr. 2 DSGVO).
3. Weisungen sind alle Anweisungen, die der Auftraggeber dem Auftragnehmer erteilt und mit denen der Auftragnehmer zur Verarbeitung personenbezogener Daten aufgefordert wird. Die Weisungen werden anfänglich durch den Hauptvertrag festgelegt und können vom Auftraggeber danach durch einzelne Weisungen geändert, ergänzt oder ersetzt werden („Einzelweisungen“).

Gegenstand des Vertrages, Verantwortlichkeit

1. Der Auftragnehmer verarbeitet die personenbezogenen Daten im Auftrag des Auftraggebers. Der Auftraggeber ist für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Weitergabe der personenbezogenen Daten an den Auftragnehmer sowie die Rechtmäßigkeit der Verarbeitung dieser, allein verantwortlich („Verantwortlicher“ im Sinne Art. 4 Nr. 7 DSGVO).

Dauer

1. Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Das Recht zur außerordentlichen Kündigung bleibt hiervon unberührt.

Umfang, Art und Zweck der vorgesehenen Verarbeitung personenbezogener Daten

1. Umfang, Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers sind im Hauptvertrag konkret beschrieben.

Art der Daten

Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien:

• Nutzername und Anmeldedaten
• Creator-Name und Asset-Metadaten
• Kommunikationsdaten (Chatinhalte sugarChat)
• Werbe-Performance-Daten der angebundenen Werbeplattformen (Meta, Google/YouTube, TikTok o. ä.), soweit diese personenbezogene Daten enthalten
• Nutzungsmetadaten (Zeitstempel, Session-Daten, Anfragen)

Kreis der Betroffenen

Der Kreis der Betroffenen, deren personenbezogene Daten verarbeitet werden, umfasst:

• Nutzer der Kunden (Mitarbeitende, die die Software nutzen)
• Creator/Influencer

Berichtigung, Löschung, Sperrung und Herausgabe von Daten

1. Der Auftraggeber kann jederzeit während und nach Beendigung dieses Vertrages bzw. des Hauptvertrages im Rahmen einer rechtmäßigen Einzelweisung die Berichtigung, Löschung, Sperrung und Herausgabe von personenbezogenen Daten verlangen.
2. Der Auftraggeber legt die Maßnahmen zur Herausgabe der überlassenen Datenträger und/oder Löschung der gespeicherten personenbezogenen Daten nach Beendigung des Vertrages vertraglich oder durch Einzelweisung fest.

Technisch-organisatorische Maßnahmen

1. Der Auftragnehmer wird technische und organisatorische Maßnahmen zur angemessenen Sicherung der personenbezogenen Daten vor Missbrauch und Verlust treffen, die den Anforderungen der Art. 24, 32 DSGVO entsprechen. Dies beinhaltet insbesondere, sofern dies angemessen ist:
   • Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen die personenbezogenen Daten verarbeitet und genutzt werden, zu verwehren (Zutrittskontrolle);
   • zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle);
   • dafür Sorge zu tragen, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können und dass personenbezogene Daten bei und nach der Verarbeitung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle);
   • dafür Sorge zu tragen, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist (Weitergabekontrolle);
   • dafür Sorge zu tragen, dass nachträglich geprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind (Eingabekontrolle);
   • dafür Sorge zu tragen, dass personenbezogene Daten nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können (Auftragskontrolle);
   • dafür Sorge zu tragen, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle);
   • dafür Sorge zu tragen, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können (Trennungskontrolle);
   • die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
   • die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
   • die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
   • ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, sind zu dokumentieren.

Weisungen

1. Der Auftraggeber hat das Recht, jederzeit Einzelweisungen über Art, Umfang und Verfahren der Verarbeitung personenbezogener Daten gegenüber dem Auftragnehmer zu erteilen. Einzelweisungen müssen schriftlich erfolgen.
2. Der Auftragnehmer darf personenbezogene Daten nur im Rahmen des Hauptvertrages, dieses Vertrages und von Einzelweisungen verarbeiten, es sei denn, dass der Auftragnehmer nach dem Unionsrecht oder dem Recht der Mitgliedstaaten zur Verarbeitung der personenbezogenen Daten verpflichtet ist.
3. Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch Einzelweisungen des Auftraggebers beim Auftragnehmer entstehen, bleiben unberührt.
4. Der Auftragnehmer muss den Auftraggeber von Ausnahmen von der Weisungspflicht aufgrund für ihn geltenden Rechts unterrichten, es sei denn, gerade dieses Recht verbietet solche Mitteilung wegen eines wichtigen öffentlichen Interesses.

Sonstige Rechte und Pflichten des Auftragnehmers

1. Der Auftragnehmer bestellt – soweit gesetzlich vorgeschrieben – einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 37, 38, 39 DSGVO ausüben kann. Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
2. Der Auftragnehmer stellt sicher, dass die mit der Verarbeitung der personenbezogenen Daten befassten Mitarbeiter auf das Datengeheimnis verpflichtet werden (Art. 28 Abs. 3 lit. b DSGVO) und in die Schutzbestimmungen der DSGVO eingewiesen worden sind. Das Datengeheimnis besteht auch nach Beendigung der Tätigkeit fort.
3. Der Auftragnehmer unterrichtet den Auftraggeber bei schwerwiegenden Störungen des Betriebsablaufes, bei Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten bei der Verarbeitung der personenbezogenen Daten. Dies gilt auch für etwaige Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 51–59 DSGVO oder Ermittlungen nach Art. 83, 84 DSGVO.
4. Es ist bekannt, dass den Auftragnehmer nach Art. 33 DSGVO Informationspflichten im Falle der unrechtmäßigen Übermittlung oder Kenntniserlangung von bestimmten personenbezogenen Daten treffen können. Deshalb sind solche Vorfälle ohne Ansehen der Verursachung unverzüglich dem Auftraggeber mitzuteilen. Die Meldung des Auftragnehmers an den Auftraggeber muss insbesondere folgende Informationen beinhalten:
   • eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen, der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
   • eine Beschreibung der von dem Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.
5. Der Auftragnehmer hat angemessene Maßnahmen zur Sicherung der Daten sowie zur Minderung möglicher nachteiliger Folgen für Betroffene zu ergreifen.
6. Der Auftragnehmer ist verpflichtet, dem Auftraggeber jederzeit Auskünfte zu erteilen, soweit seine Daten und Unterlagen von einer Verletzung des Schutzes personenbezogener Daten betroffen sind. Die datenschutzkonforme Vernichtung von Material übernimmt der Auftragnehmer aufgrund einer Einzelbeauftragung durch den Auftraggeber auf dessen Kosten. In besonderen, vom Auftraggeber schriftlich zu bestimmenden Fällen erfolgt eine Aufbewahrung bzw. Übergabe.
7. Die Verarbeitung von Daten in Privatwohnungen (Tele- bzw. Heimarbeit von Beschäftigten des Auftragnehmers) wird vom Auftraggeber gestattet. Soweit die Daten in einer Privatwohnung verarbeitet werden, sichert der Auftragnehmer zu, dass die Maßnahmen nach Art. 32 DSGVO auch für Tele- und Heimarbeit sichergestellt werden.
8. Soweit der Auftragnehmer nach diesem Vertrag Leistungen erbringt, die nicht durch den Hauptvertrag vergütet werden, kann der Auftragnehmer eine angemessene Vergütung verlangen.
9. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass vom Auftraggeber erteilte Weisungen gegen die DSGVO oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.
10. Der Auftragnehmer wird den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten unterstützen.

Rechte und Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Beurteilung der Zulässigkeit der Verarbeitung personenbezogener Daten sowie für die Wahrung der Rechte der Betroffenen allein verantwortlich.
2. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig schriftlich zu informieren, wenn er bei der Prüfung der Auftragsergebnisse Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
3. Dem Auftraggeber obliegen die aus Art. 33 DSGVO resultierenden Informationspflichten.

Anfragen Betroffener

1. Ist der Auftraggeber aufgrund geltender Datenschutzgesetze gegenüber einer Einzelperson verpflichtet, Auskünfte zur Verarbeitung deren personenbezogener Daten zu geben, wird der Auftragnehmer den Auftraggeber, soweit erforderlich, dabei unterstützen, diese Informationen bereitzustellen, vorausgesetzt, der Auftraggeber hat den Auftragnehmer hierzu schriftlich aufgefordert.
2. Der Auftragnehmer wird den Auftraggeber darüber informieren, wenn Betroffene ihre Betroffenenrechte gegenüber dem Auftragnehmer geltend machen.

Zusammenarbeit mit der Aufsichtsbehörde

1. Der Auftraggeber und der Auftragnehmer und gegebenenfalls deren Vertreter arbeiten auf Anfrage mit der Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen.

Kontrollpflichten des Auftraggebers

1. Der Auftraggeber überzeugt sich vor der Aufnahme der Datenverarbeitung und sodann regelmäßig von den technischen und organisatorischen Maßnahmen des Auftragnehmers und dokumentiert das Ergebnis. Hierfür kann er etwa Selbstauskünfte des Auftragnehmers einholen oder auf eigene Kosten ein Audit durchführen lassen. Im Falle eines Audits trägt der Auftraggeber auch die Kosten der Mitarbeiter des Auftragnehmers, die am Audit mitwirken müssen.

Subunternehmer

1. Die Beauftragung von Subunternehmern ist im Rahmen dieses Vertrages und der in Ziff. 3, 4, 5, 6 konkretisierten Tätigkeiten möglich, sofern der Auftragnehmer sicherstellt, dass der Subunternehmer die Pflichten aus diesem Vertrag gegenüber dem Auftragnehmer übernimmt. Es gelten insbesondere die in diesem Vertrag festgelegten Anforderungen an Vertraulichkeit, Datenschutz und Datensicherheit.
2. Dem Auftraggeber sind Kontroll- und Überprüfungsrechte entsprechend Ziff. 14 einzuräumen. Durch schriftliche Aufforderung ist der Auftraggeber berechtigt, von dem Auftragnehmer Auskunft über den wesentlichen Vertragsinhalt und die Umsetzung der datenschutzrelevanten Verpflichtungen des Subunternehmers zu erhalten, erforderlichenfalls auch durch Einsicht in die relevanten Vertragsunterlagen.
3. Die von dem Auftragnehmer beauftragten Subunternehmer ergeben sich aus dem Anhang 1. Der Auftragnehmer ist berechtigt, weitere Subunternehmer zu beauftragen, sofern sie den Anforderungen gem. Ziff. 15.1 und 15.2 entsprechen und der Auftragnehmer den Auftraggeber hiervon in Kenntnis setzt und dieser nicht binnen sieben Tagen schriftlich widerspricht.

Vertraulichkeitsverpflichtung

1. Der Auftragnehmer ist bei der Verarbeitung von personenbezogenen Daten zur Wahrung der Vertraulichkeit verpflichtet. Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen. Der Auftraggeber ist verpflichtet, dem Auftragnehmer etwaige besondere Geheimnisschutzregeln schriftlich mitzuteilen.

Allgemeine Regelungen, Informationspflichten, Schriftformklausel, Rechtswahl

1. Sollten personenbezogene Daten beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den personenbezogenen Daten ausschließlich beim Auftraggeber als „Verantwortlichem“ im Sinne der DSGVO liegen.
2. Die Verarbeitung der personenbezogenen Daten findet ausschließlich im Gebiet der Bundesrepublik Deutschland, in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44, 45, 46 DSGVO erfüllt sind. Soweit die Verarbeitung durch einen in Anhang 1 genannten Dritten erfolgt, erteilt der Auftraggeber hiermit seine Zustimmung.
3. Änderungen und Ergänzungen dieses Vertrages und aller seiner Bestandteile – einschließlich etwaiger Zusicherungen des Auftragnehmers – bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses Vertrages handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis.
4. Es gilt deutsches Recht, mit Ausnahme des Kollisionsrechts.
5. Gerichtsstand ist der sich aus dem Hauptvertrag ergebende Gerichtsstand, sofern dieser in der Bundesrepublik Deutschland liegt. Anderenfalls ist ausschließlicher Gerichtsstand der Sitz des Auftragnehmers.